1. 项目概述一次典型的Web应用安全漏洞实战剖析最近在梳理一些常见的Web应用安全案例时一个关于微信公众号小说漫画系统的漏洞引起了我的注意。这个漏洞的标题很直接——“fileupload.php 任意文件上传”。对于从事Web开发、安全测试或者运维的朋友来说这几乎是一个“教科书”级别的漏洞类型但恰恰是这种看似基础的漏洞在实际环境中依然屡见不鲜造成的危害也往往非常严重。今天我就以这个具体的案例为切入点和大家深入聊聊任意文件上传漏洞的成因、复现手法、背后的安全逻辑以及我们作为开发者应该如何从根本上规避这类风险。简单来说这个漏洞存在于一套用于搭建微信公众号内小说或漫画阅读平台的系统中。该系统提供了一个名为fileupload.php的文件上传接口本意是让管理员或作者上传图片、文档等资源。但由于缺乏严格的安全校验攻击者可以绕过限制上传包含恶意代码的脚本文件如PHP、JSP文件。一旦上传成功攻击者就能通过浏览器直接访问这个恶意文件从而在服务器上执行任意命令轻则窃取数据、篡改页面重则完全控制服务器。这不仅仅是技术问题更关乎业务数据安全和用户隐私。接下来我将从漏洞原理、环境搭建、复现过程、深度利用以及防御加固五个方面为你完整拆解这个案例。无论你是想了解安全攻防的开发者还是负责系统安全的运维人员都能从中获得实用的知识和启发。2. 漏洞原理与背景深度解析2.1 任意文件上传漏洞的核心逻辑要理解这个漏洞我们得先抛开“微信公众号系统”这个外壳看到其本质一个Web文件上传功能的安全缺失。任何允许用户向服务器提交文件的Web功能都是一个潜在的风险点。其核心攻击路径可以概括为“上传 - 存储 - 访问 - 执行”。上传客户端通过HTTP POST请求将文件数据发送到服务器端的处理脚本本例中的fileupload.php。存储服务器端脚本接收到文件后将其保存到服务器的某个目录下如/uploads/。访问保存的文件会有一个可通过Web访问的URL如http://target.com/uploads/evil.php。执行如果上传的文件是服务器能够解析执行的脚本如.php,.jsp,.asp那么访问该URL时服务器就会执行文件中的代码。漏洞产生的根本原因在于服务器端代码没有对上传的文件进行充分且有效的安全检查。常见的校验缺失包括未校验文件类型仅依赖客户端提交的Content-Type如image/jpeg或文件原始名如cat.jpg这些信息极易被篡改。未校验文件内容没有检查文件内容的真实格式例如一个文件虽然命名为shell.jpg但其内容实则是PHP代码。未使用白名单机制使用黑名单禁止某些后缀如.php但可能遗漏.php5,.phtml,.phps等同样能被解析的后缀。存储路径与文件名可控允许用户自定义上传后的文件名或部分路径可能导致目录穿越如使用../../../evil.php作为文件名或覆盖关键系统文件。未对图像文件进行二次渲染对于图像上传没有进行压缩、裁剪等处理导致隐藏在图像元数据如EXIF中的恶意代码被完整保留。2.2 目标系统微信公众号小说漫画系统的典型架构这类系统通常采用经典的PHP MySQL架构前端通过H5页面嵌入微信公众号提供小说章节阅读、漫画翻页、用户订阅等功能。为了方便内容管理后台会提供丰富的素材上传功能。fileupload.php文件很可能位于后台管理目录如/admin/或通用的处理目录如/include/下。它的原始设计意图可能是处理文章封面图、漫画分页图、作者头像等。代码可能非常简单类似下面这种“危险示范”?php // fileupload.php - 漏洞版本示例 $upload_dir ./uploads/; $file $_FILES[file]; if($file[error] 0){ // 直接使用用户上传时的文件名极度危险 $filename $file[name]; $destination $upload_dir . $filename; if(move_uploaded_file($file[tmp_name], $destination)){ echo 文件上传成功路径为 . $destination; } else { echo 文件移动失败。; } } ?这段代码的问题一目了然它信任了来自客户端的一切信息没有做任何过滤。攻击者可以轻易上传一个名为shell.php的文件其中包含?php system($_GET[‘cmd’]);?这样的代码从而实现远程命令执行。注意在实际漏洞挖掘中代码可能不会这么直白但安全逻辑的缺失是共通的。可能校验了图片类型但可以通过伪造HTTP包绕过可能检查了后缀但黑名单不全可能使用了随机文件名但存储路径可被预测或遍历。2.3 漏洞的危害与影响范围成功利用此漏洞攻击者可以获得的能力是惊人的网站篡改Defacement上传一个WebShell后直接修改首页或其他页面内容。数据窃取通过Shell执行数据库查询命令盗取用户信息手机号、微信OpenID、付费记录、原创小说/漫画内容等核心资产。服务器沦陷利用WebShell作为跳板进一步提权控制整个服务器安装挖矿木马、勒索病毒或将其变为攻击其他目标的“肉鸡”。供应链攻击如果该系统被众多公众号运营者使用一个漏洞可能波及成百上千个公众号平台形成大规模的安全事件。法律与信誉风险用户数据泄露会导致严重的法律诉讼和品牌信誉崩塌特别是涉及支付和隐私信息的场景。对于“微信公众号小说漫画系统”这类业务其数据库里往往存储着大量用户的微信关联信息、付费订阅记录以及宝贵的原创作品内容一旦泄露损失不可估量。3. 漏洞复现环境搭建与工具准备“纸上得来终觉浅绝知此事要躬行。”安全研究离不开实操。为了在不触犯法律的前提下学习和验证漏洞我们必须在受控环境中进行。以下是搭建本地复现环境的详细步骤。3.1 环境搭建构建漏洞靶场我们不需要去找真实的侵权系统完全可以自己模拟一个存在漏洞的环境。方案选择本地PHP集成环境 手工编写漏洞代码这是最清晰、最利于学习的方式。我们使用XAMPP或PHPStudy这类一键安装包快速在本地Windows或虚拟机Linux上搭建Apache PHP MySQL的环境。具体步骤安装集成环境前往XAMPP官网下载对应系统版本并安装。安装完成后启动Apache服务。创建项目目录在XAMPP的htdocs目录网站根目录下新建一个文件夹例如wechat_novel。编写漏洞文件在wechat_novel目录下创建fileupload.php文件内容就使用上面提到的“危险示范”代码。同时创建一个uploads子目录用于存放上传的文件。编写前端表单创建一个简单的HTML页面index.html提供文件上传表单。!DOCTYPE html html headtitle模拟上传点/title/head body form actionfileupload.php methodpost enctypemultipart/form-data 选择文件input typefile namefilebr input typesubmit value上传 /form /body /html访问测试打开浏览器访问http://localhost/wechat_novel/index.html。如果能正常看到上传表单环境就搭建好了。为什么选择自建靶场而非直接下载未知源码从网络下载所谓的“漏洞系统”源码包风险极高可能本身就捆绑了后门或恶意代码。自建靶场能确保环境纯净并且通过亲手编写漏洞代码你能更深刻地理解每一行代码是如何导致漏洞的这是直接复现无法比拟的学习深度。3.2 必备工具清单工欲善其事必先利其器。复现和利用文件上传漏洞以下几类工具必不可少1. 浏览器与开发者工具Browser DevTools作用最基础的上传测试、拦截和修改HTTP请求。推荐Chrome 或 Firefox。熟练使用其“开发者工具”F12打开中的Network网络和Elements元素面板是关键。你可以看到表单提交的详细参数并能在请求发送前进行修改。2. 抓包与改包工具Proxy作用拦截浏览器发送的HTTP/HTTPS请求并允许你任意修改其内容如文件后缀、Content-Type、文件内容本身这是绕过前端校验的利器。推荐Burp Suite Community首选功能强大的专业安全测试工具。社区版对于学习完全够用。你需要配置浏览器代理指向Burp并安装其CA证书以拦截HTTPS流量。OWASP ZAP另一款开源免费工具同样优秀。Fiddler ClassicWindows平台下历史悠久的抓包工具易于上手。3. WebShell管理工具作用当你成功上传WebShell后需要一个图形化或命令行界面来管理它执行命令、浏览文件、上传下载等。推荐AntSword中国蚁剑国产开源神器跨平台支持多种Shell类型PHP、JSP、ASP等插件丰富更新活跃。强烈推荐学习使用。C刀Cknife另一款经典的国产WebShell管理工具。哥斯拉Godzilla功能强大的新型工具流量加密绕过WAF能力强。4. 集成渗透测试系统作用提供一个包含大量安全工具扫描器、漏洞利用框架、密码破解等的Linux环境开箱即用。推荐Kali Linux最知名的渗透测试发行版。你可以将其安装在虚拟机中上面集成了Burp Suite、各种扫描器、MSF等几乎所有你需要的工具。实操心得工具链配置对于新手我建议的起步配置是Windows/Mac主机 Chrome浏览器 Burp Suite Community 蚁剑。先在本地用XAMPP搭建漏洞环境用Burp拦截修改上传请求用蚁剑连接成功上传的Shell。这个流程能让你完整地走通“发现-利用-控制”的链条。配置Burp代理和证书是第一个小门槛网上教程很多务必耐心完成这是后续所有Web安全测试的基础。4. 漏洞复现实操全流程解析现在我们进入核心环节一步步还原攻击者如何发现并利用这个fileupload.php漏洞。请确保你是在自己的本地靶场进行以下所有操作。4.1 信息收集与漏洞点探测在真实场景中攻击者不会一开始就知道fileupload.php的存在。他们需要通过信息收集来发现它。目录与文件扫描使用工具扫描目标网站寻找可能的上传点、后台管理入口和敏感文件。工具dirsearch,gobuster,ffuf或图形化的御剑后台扫描工具。命令示例dirsearchpython3 dirsearch.py -u http://target.com -e php,html,js目标寻找像upload,admin,include,file等关键词相关的目录和文件。fileupload.php很可能就在其中。前端代码分析找到网站的上传功能页面如作者后台的“上传封面”查看其HTML表单。关注点form标签的action属性值那就是处理上传请求的服务器端脚本路径。很可能就是/admin/fileupload.php或类似路径。查看可能的前端校验检查是否有JavaScript代码对文件后缀或大小进行校验。这只是客户端校验很容易绕过但发现了它你就知道服务器端可能依赖于此从而缺乏校验。在我们的靶场中我们已经知道漏洞点在/wechat_novel/fileupload.php。在真实测试中这一步就是通过扫描和猜测来定位这个地址。4.2 绕过技巧实战从简单到复杂定位到上传点后就要测试其过滤规则。我们按照从简到繁的顺序尝试绕过。第1层绕过直接上传PHP文件这是最理想的情况也是我们靶场代码的情况——毫无过滤。操作直接在表单中选择一个准备好的WebShell文件shell.php点击上传。蚁剑WebShell示例一句话木马?php eval($_POST[ant]);?eval()函数执行传入的代码。$_POST[‘ant’]表示通过POST参数ant传递要执行的命令。符号用于抑制错误信息增加隐蔽性。结果服务器返回“上传成功”并显示了存储路径如uploads/shell.php。访问http://localhost/wechat_novel/uploads/shell.php如果页面空白没有报错说明Shell已存在并等待连接。第2层绕过修改HTTP请求包前端JS校验/Content-Type校验很多系统会做简单的校验。假设系统代码如下// 校验1检查Content-Type是否为图片 $allow_types [image/jpeg, image/png, image/gif]; if(!in_array($_FILES[file][type], $allow_types)){ die(只允许上传图片文件); } // 校验2检查文件后缀黑名单 $deny_ext [php, php5, phtml]; $ext strtolower(pathinfo($filename, PATHINFO_EXTENSION)); if(in_array($ext, $deny_ext)){ die(危险文件类型); }绕过方法先准备一个正常的图片文件test.jpg同时准备一个shell.php文件。使用Burp Suite拦截上传test.jpg的请求。在Burp的Proxy - Intercept标签页中修改拦截到的请求将filename”test.jpg”修改为filename”shell.php”。将Content-Type: image/jpeg修改为Content-Type: image/jpeg保持不变欺骗服务器。在请求体HTTP Raw Body中找到图片的二进制数据部分将其整个替换为shell.php的完整代码。你需要将PHP代码进行URL编码或者直接使用Burp的 “Paste from file” 功能载入你的shell文件。转发修改后的请求。原理服务器端代码信任了被我们篡改的filename和Content-Type字段而move_uploaded_file函数是根据HTTP请求包中的临时文件来移动数据的我们替换了其内容从而上传了一个内容为PHP代码但“声称”自己是图片的文件。第3层绕过利用解析特性与文件包含如果服务器对后缀检查非常严格白名单只允许.jpg,.png,.gif我们可以尝试其他技巧。技巧1特殊后缀名.php5,.phtml,.phps,.php7等在某些服务器配置下同样会被PHP解析引擎执行。.php.末尾有点、.php末尾有空格在某些系统处理文件名时可能会被自动截断保存为.php。技巧2.htaccess文件攻击针对Apache如果服务器允许上传.htaccess文件且uploads目录有执行权限这将是一个致命漏洞。操作上传一个内容如下的.htaccess文件AddType application/x-httpd-php .jpg效果这行配置告诉Apache服务器将.jpg文件也当作PHP脚本来解析。之后你再上传一个内容为PHP代码的shell.jpg文件访问它时就会被执行。技巧3配合文件包含漏洞LFI这是更高级的组合技。如果系统存在文件包含漏洞例如有一个index.php?pagexxx的参数可以包含服务器上的任意文件。操作先上传一个内容为PHP代码的图片文件shell.jpg因为后缀合法上传成功。然后利用文件包含漏洞去包含这个图片http://target.com/index.php?page./uploads/shell.jpg。原理文件包含函数如include(),require()在包含文件时并不关心后缀名只要文件内容符合PHP语法就会被执行。这实现了“图片马”的利用。第4层绕过竞争条件攻击有些系统会对上传的文件进行安全扫描如杀毒、内容检查检查通过后才移动到最终目录。这个过程存在一个时间窗口。操作编写脚本极快地重复上传WebShell并立即访问。在文件被扫描删除之前如果有一瞬间访问到了就能执行代码。这需要精准的时机把控。在我们的靶场案例中由于没有任何防护我们直接使用第1层方法即可成功。4.3 获取WebShell与后续控制假设我们通过以上某种方式成功将shell.php上传到了http://localhost/wechat_novel/uploads/shell.php。使用蚁剑连接打开蚁剑点击“添加数据”。URL地址填写http://localhost/wechat_novel/uploads/shell.php连接密码填写ant对应我们一句话木马中的$_POST[‘ant’]编码器、解码器等通常选择默认即可蚁剑会自动尝试。点击“添加”然后双击新添加的Shell。连接成功后的操作如果一切顺利你会看到服务器的文件目录树。你可以浏览、下载、上传、删除文件。你可以打开虚拟终端执行系统命令如whoami,pwd,ls -la,ifconfig查看当前用户权限和网络信息。你可以直接查看或修改网站源码、数据库配置文件如config.php通常包含数据库用户名和密码。信息收集与提权后渗透数据库连接找到数据库配置文件后可以用蚁剑的“数据库管理”功能直接连接导出所有用户表、订单表。寻找敏感信息搜索日志文件、备份文件.zip,.bak,.sql可能包含更多敏感信息。提权尝试如果当前是Web服务用户如www-data,apache可以尝试查找系统漏洞、SUID文件、错误配置等尝试提升到root权限。但这在漏洞复现学习中不是重点且操作风险高。注意事项实战与法律的边界以上所有操作必须、且仅能在你自己拥有完全控制权的环境如本地虚拟机、授权测试的靶场中进行。未经授权对任何他人的网站或系统进行测试、攻击都是违法行为将面临法律严惩。安全研究的目的是为了提升防御能力请务必坚守法律和道德的底线。5. 漏洞深度利用与影响扩大分析成功上传WebShell并连接只是拿到了一个“据点”。一个熟练的攻击者会以此为基础进行横向移动和深度利用最大化战果。这部分内容有助于我们防御者理解攻击者的完整链条从而构建更立体的防御体系。5.1 权限维持与隐蔽直接上传的shell.php文件非常显眼容易被管理员或安全扫描发现。攻击者会设法隐藏自己。修改文件属性和时间使用touch -t命令将WebShell文件的时间戳修改成和周围系统文件一致。隐藏文件在Linux下将文件名改为.shell.php以点开头可使其在默认ls下不可见。写入隐蔽后门写入现有文件将一句话木马代码追加到某个正常的PHP文件末尾或者插入到图片的EXIF信息中。.user.ini文件在PHP环境中可以上传或修改.user.ini文件使用auto_prepend_file指令让该目录下所有PHP文件在执行前都自动包含一个后门文件极其隐蔽。动态WebShell编写一个不包含固定特征码的Shell其代码通过外部请求获取并动态执行规避静态查杀。安装持久化后门如果获得较高权限可能会添加SSH密钥、创建计划任务crontab、安装内核模块等确保即使WebShell被删除也能再次进入系统。5.2 横向移动与内网渗透攻破一台Web服务器后它往往不是孤立的而是内网中的一个节点。内网信息收集网络探测使用ifconfig,ip addr,netstat -antp等命令查看服务器网卡信息、网络连接和监听的端口绘制内网拓扑。主机发现利用Shell执行内网扫描寻找其他存活主机如使用ping扫描或上传轻量级的nmap二进制文件。凭证窃取查找服务器上保存的数据库密码、其他服务的配置文件、用户的.bash_history命令历史、SSH私钥等。数据库作为跳板如果Web服务器和数据库在同一台机器那么已经拥有了数据库权限。如果数据库在另一台内网机器如192.168.1.100通过WebShell获取到的数据库密码可以用来直接连接内网数据库。某些数据库如MySQL的into outfile功能可能被用来在数据库服务器上写WebShell从而实现从Web服务器到数据库服务器的跳跃。端口转发与代理由于内网主机通常不能从外网直接访问攻击者需要以被攻陷的Web服务器为跳板。使用工具如reGeorg,EarthWorm (ew),frp等在Web服务器上建立SOCKS代理。这样攻击者自己的电脑就能通过这个代理直接访问目标内网的其他服务如远程桌面、内部管理后台、文件共享等。5.3 数据窃取与业务影响对于“微信公众号小说漫画系统”这类业务平台数据是核心资产。数据库拖库直接通过蚁剑的数据库管理功能导出整个数据库。查找关键表用户表user,member可能包含用户名、手机号、微信OpenID、加密密码、订单表order,payment、小说/漫画内容表book,chapter。特别注意微信OpenID是用户在公众号下的唯一标识虽然不像手机号那么直接但结合其他泄露信息仍可对用户进行精准画像和关联价值巨大。源码与配置窃取下载全部网站源码攻击者可以分析其他潜在漏洞。寻找硬编码的API密钥、第三方服务密钥。了解业务逻辑为后续更精准的攻击如业务逻辑漏洞利用做准备。篡改业务与勒索页面篡改在首页挂上黑页或勒索信息。数据篡改修改用户余额、VIP到期时间或将付费章节改为免费扰乱商业秩序。加密勒索如果获得足够权限可能运行勒索病毒加密服务器上的所有文件包括源码、图片、数据库索要赎金。通过以上分析可以看到一个简单的文件上传漏洞就像在坚固的城墙下打开了一扇小门足以让攻击者登堂入室最终可能摧毁整个城堡。防御必须从这扇“小门”做起并建立起纵深的防御体系。6. 漏洞修复与安全加固实战指南分析漏洞是为了更好地防御。作为开发者我们应该如何在代码层面、架构层面和运维层面杜绝此类漏洞的发生以下是我根据多年经验总结的、可立即实施的加固方案。6.1 代码层修复打造坚固的上传处理器这是最根本的修复。我们需要重写fileupload.php遵循“不信任任何用户输入”的原则。1. 使用白名单校验文件扩展名绝对不要使用黑名单只允许明确安全的类型。?php // fileupload.php - 安全版本示例 $upload_dir ./uploads/; $file $_FILES[file]; // 1. 定义允许的白名单后缀小写 $allowed_ext [jpg, jpeg, png, gif, pdf, doc, docx]; $filename $file[name]; $ext strtolower(pathinfo($filename, PATHINFO_EXTENSION)); if(!in_array($ext, $allowed_ext)){ die(错误不支持的文件类型。); } // 2. 校验文件MIME类型使用PHP的fileinfo扩展更可靠 $finfo finfo_open(FILEINFO_MIME_TYPE); $mime finfo_file($finfo, $file[tmp_name]); finfo_close($finfo); $allowed_mime [image/jpeg, image/png, image/gif, application/pdf, ...]; // 与后缀对应 if(!in_array($mime, $allowed_mime)){ die(错误文件MIME类型不合法。); } // 3. 为文件生成随机名称避免覆盖和路径穿越 $new_filename uniqid() . _ . md5(microtime(true)) . . . $ext; $destination $upload_dir . $new_filename; // 4. 移动文件前再次检查目标路径是否在白名单目录内防止目录穿越 $real_destination realpath($upload_dir) . DIRECTORY_SEPARATOR . $new_filename; if(strpos($real_destination, realpath($upload_dir)) ! 0){ die(错误非法文件路径。); } // 5. 移动文件 if(move_uploaded_file($file[tmp_name], $real_destination)){ // 6. 针对图片进行二次渲染彻底清除可能嵌入的代码 if(strpos($mime, image/) 0){ list($width, $height) getimagesize($real_destination); $new_image imagecreatetruecolor($width, $height); $source null; switch($mime){ case image/jpeg: $source imagecreatefromjpeg($real_destination); break; case image/png: $source imagecreatefrompng($real_destination); break; case image/gif: $source imagecreatefromgif($real_destination); break; } if($source){ imagecopy($new_image, $source, 0, 0, 0, 0, $width, $height); // 覆盖原文件 switch($mime){ case image/jpeg: imagejpeg($new_image, $real_destination, 90); break; case image/png: imagepng($new_image, $real_destination); break; case image/gif: imagegif($new_image, $real_destination); break; } imagedestroy($source); imagedestroy($new_image); } } echo 文件上传成功新文件名为 . $new_filename; } else { echo 文件保存失败。; } ?这段安全代码的核心要点白名单校验同时校验后缀和真实的MIME类型。随机重命名避免文件名冲突和用户猜测路径。路径安全使用realpath防止目录穿越攻击。图片二次渲染这是杀手锏。即使上传了一个包含恶意代码的图片经过GD库的读取和重新生成所有非图像数据包括隐藏在像素数据或注释区的代码都会被彻底清除。这是防御“图片马”最有效的方法。6.2 服务器与运维层加固代码安全是基础服务器配置是第二道防线。上传目录权限隔离将上传目录如uploads/设置为不可执行。在Apache中可以在该目录下放置.htaccess文件RemoveHandler .php .php5 .phtml和php_flag engine off。在Nginx配置中针对上传目录添加location ~* \.(php|php5)$ { deny all; }。将上传目录放到Web根目录之外然后通过PHP脚本来读取和输出文件。这样用户即使知道文件名也无法直接通过URL访问到。定期安全扫描与更新使用Web应用防火墙WAF它能有效拦截常见的攻击payload。在服务器上部署文件完整性监控FIM工具当uploads/目录下出现.php文件或现有文件被修改时立即告警。定期使用静态代码分析工具如SonarQube,Fortify或专有的Web漏洞扫描器如AWVS,Nessus对代码和系统进行扫描。及时更新保持PHP、Web服务器Apache/Nginx、数据库及所有第三方库的版本为最新修复已知漏洞。最小权限原则运行Web服务的系统用户如www-data应该只拥有必要的、最小的权限。绝对不能以root身份运行Web服务。数据库用户也应该按需授权Web应用使用的数据库账户通常只需要SELECT,INSERT,UPDATE,DELETE权限不需要DROP,FILE,GRANT等高级权限。6.3 业务逻辑与架构优化从更高维度思考如何让系统更安全。文件存储云化将文件上传至对象存储服务如阿里云OSS、腾讯云COS、AWS S3。这些服务通常提供原生的安全策略如防盗链、生命周期管理并且文件存储与Web服务器完全分离即使上传了恶意文件也无法在Web服务器上执行。在上传后返回给前端的是一个云存储的URL彻底杜绝了服务器上的文件解析风险。内容分发网络CDN将静态资源包括用户上传的图片、文档通过CDN分发。CDN可以作为一道缓冲并且很多CDN服务也提供内容安全扫描功能。严格的访问控制与审计上传功能必须是经过严格身份认证如后台管理员、认证作者的用户才能使用。记录每一次上传操作的用户、时间、IP、文件名。对后台管理页面加强访问控制除了密码可以增加二次验证如手机验证码。实操心得安全是一个过程而非状态修复一个fileupload.php的漏洞可能只需要一小时但构建安全的上传体系需要持续的关注和投入。我建议将安全措施融入开发流程DevSecOps开发阶段使用安全的代码模板和函数库。进行代码评审时安全是必审项。测试阶段必须包含安全性测试包括手动测试和自动化工具扫描。部署阶段使用经过安全加固的服务器镜像和配置清单。运行阶段开启监控和告警定期进行渗透测试和漏洞扫描。 永远不要相信用户输入永远采用白名单思维永远考虑最坏情况。这个简单的原则能帮你避开绝大多数Web安全漏洞。
